Swan Treasury 在攻擊者利用洩露的鏈下簽名者私鑰，在 BNB Chain 上以大幅折扣購買 STY 代幣並立即套現後，估計損失了 625,000 美元，區塊鏈安全公司 Defimon Alerts 報導了此事。 事件經過 Defimon 的調查顯示，協議的鏈下簽名者地址（0xdEb4…8284）被硬編碼在 ZhaiquanBuy 合約的 _signer 中，並遭到入侵。攻擊者使用盜取的私鑰生成有效簽名，操縱合約的 buy() 函數，該函數使用簽署的「折扣」參數來計算買家可獲得的 STY 代幣數量。通過簽署折扣值為 1，攻擊者以約原價百分之一的價格購入 STY。 攻擊過程 攻擊者利用 PancakeSwap 的約 19,700 USDT 閃貸，透過折扣購買機制獲得了近 687,000 STY。Defimon 發現，攻擊者還偽造了相關的 claim() 和 transfer() 函數的有效簽名，以提取更多 STY，然後將這些代幣賣入 STY/USDT 流動性池。在平倉後，攻擊者實現了約 625,000 USDT 的利潤。根據該警報，當時 STY 的交易價格約為 2.87 美元。 為何這指向私鑰洩露而非合約漏洞 Defimon 的技術分析指出，在攻擊期間每次 ecrecover 調用都解析為協議硬編碼的簽名者地址，而非任何攻擊者控制的帳戶。這表明私鑰本身已被暴露，而非合約的簽名驗證邏輯存在缺陷——因為偽造的簽名與預期簽名者完全匹配。 回應與更廣泛背景 在本報告發布時，Swan Treasury 尚未公開說明簽名密鑰是如何暴露的，也未披露任何緩解措施。此事件是最近一系列攻擊中的最新一例，這些攻擊均因洩露的特權憑證（而非鏈上漏洞）導致重大損失。2025 年 6 月，Hacken 公布一樁事件：一名攻擊者利用被入侵的私鑰在以太坊和 BNB Chain 上鑄造了 9 億 HAI，獲利約 25 萬美元，之後帳戶被撤銷。crypto.news 引用 Hacken 的分析指出，存取控制失敗（包括私鑰洩露）佔 2024 年記錄的加密貨幣駭客損失總額的 78%。 新興攻擊面 私鑰不僅因儲存不當而成為目標，也透過第三方系統遭到攻擊。Zilliqa 最近因 Ledger 應用程式中的 nonce 生成缺陷導致可從收集的簽名中恢復私鑰，而暫停了原生 ZIL 交易。加州大學的學術研究人員也顯示，某些第三方 AI 路由服務在處理請求時可存取明文憑證——包括私鑰——在測試中，中介甚至能清空測試錢包。 結論 此事件凸顯了一個簡單但持續存在的事實：私鑰是單點故障。專案應避免硬編碼或向中介服務暴露私鑰，實施嚴格的存取控制，輪換並安全儲存憑證，並採用更強大的加密保管方案，以降低憑證被竊的風險。 了解更多：請閱讀 Defimon Alerts 的技術摘要及 Swan Treasury 後續發布的緩解細節與恢復狀態（如有）。
Swan Treasury 因洩露的簽名金鑰讓攻擊者以 99% 折扣購買 STY，損失 625 萬美元
ChainGPT分享
精華摘要
Swan Treasury 因離線簽名金鑰洩露，導致攻擊者利用 BNB Chain 造成 625 萬美元損失。攻擊者使用 19,700 USDT 的閃電貸款，以 99% 的折扣購入 687,000 枚 STY 代幣並套現。此鏈上新聞事件由 Defimon Alerts 報導，顯示當金鑰外洩時，合法簽名可被偽造。Hacken 指出，2024 年加密貨幣損失中，78% 源自類似安全漏洞。硬編碼金鑰與弱存取控制仍是主要風險。
來源:顯示原文
免責聲明：本頁面資訊可能來自第三方，不一定反映KuCoin的觀點或意見。本內容僅供一般參考之用，不構成任何形式的陳述或保證，也不應被解釋為財務或投資建議。 KuCoin 對任何錯誤或遺漏，或因使用該資訊而導致的任何結果不承擔任何責任。
虛擬資產投資可能存在風險。請您根據自身的財務狀況仔細評估產品的風險以及您的風險承受能力。如需了解更多信息，請參閱我們的使用條款和風險披露 。